十分钟，430 万：一场用“脸”和“声音”完成的信任劫持

十一点四十分，微信响了

2023 年 4 月 20 日，中午十一点四十分，福州一家科技公司的法人代表郭先生正在忙自己的事。微信突然弹出一个视频通话请求——是“好友”打来的。

郭先生接了。屏幕那头，是熟悉的脸，熟悉的声音。对方说，自己有个朋友在外地投标，急需 430 万元保证金，想借郭先生公司的账户走一下账，钱很快会打过来。

这不是陌生人张口就要钱的老套路。视频里的人他认识，声音他也认得。郭先生按对方提供的银行卡号，分两笔把 430 万转了过去。对方还“贴心”地发来一张银行转账底单的截图，证明钱已经从他那边打出。

十一点四十九分，转账完成。前后不到十分钟。

郭先生转完钱后，顺手在微信上跟“好友”确认了一句。对方回了一个问号——“?”

那一刻他才明白，刚才视频里那张脸、那个声音，都是假的（新华网,2023；福州新闻网,2023）。福州、包头两地警方和银行连夜联动止付，追回 336.84 万元，剩下约 94 万元的下落，目前公开材料中没有交代（新华网,2023）。

这起案子后来被简化成一个耸动的标题在互联网上流传:“十分钟被骗 430 万”。但如果只把它当成一个“AI 又整活了”的猎奇新闻划过去，就错过了它真正值得被记住的地方——它不是一次“AI 失控”,而是一次精准命中了身份验证这道防线的打击。视频通话里“看得见、听得着”的那个人，曾经是这个星球上最朴素、最不需要论证的信任凭证。这起案子第一次大规模让中国公众看到：这个凭证，被打穿了。

两块屏幕上正在解体的人脸

从骗一个人，到骗一整间会议室

郭先生的十分钟，如果只是一次孤立的运气不好，这篇报道的意义就止步于此。但把它放进过去三年的时间线里看，会发现它更像一个开端，而不是终点。

2024 年 1 月，香港一家跨国工程公司的员工，收到一封自称来自英国总部首席财务官（CFO）的钓鱼邮件，随后被拉进一场“多人视频会议”。香港特区政府其后在立法会书面答复中证实：这场会议其实是一段提前伪造好的预录视频,素材来自网络上下载的公开影像，配上被冒充高管的声音合成而成；整场会议里只有受害人一人是真人，他和画面里的人之间并没有发生真实互动——“CFO”布置完转账指令后就以各种理由结束了“会议”,后续再用即时通讯软件下达具体转账指示 (香港特区政府新闻公报,2024)。这名员工一周内分 15 笔转出，总额约 2 亿港元，折合超过 2500 万美元（香港特区政府新闻公报,2024；CNN,2024；澎湃新闻,2024）。据 21 经济网报道，诈骗团伙用于合成高管形象和声音的素材，包括该公司发布在 YouTube 上的视频，但这一细节来自媒体报道，并非港府答复中的原文表述（21 经济网,2024）。

这不是巧合的升级，而是同一种攻击手法沿着信任链条往上走：从骗一个人，到骗一群人同时“看见”的会议室。数字比案情更能说明这条曲线的斜率。

公安部在 2023 年通报，专项行动中侦破“AI 换脸”相关案件 79 起，抓获犯罪嫌疑人 515 名（新华网,2023）。最高人民法院刑三庭庭长陈鸿翔在接受采访时表示，利用 AI“换脸”“变声”实施的新型网络诈骗“欺骗性更强，相关案件日益多发”,法院将“从严打击”（21 世纪经济报道,2024）。到 2026 年初，他在另一次采访中进一步指出，恶意滥用 AI 换脸、拟声技术的电信网络诈骗手法“更隐蔽、更具迷惑性”,呼吁加快跟踪研究、适时出台规范性法律文件（新浪财经,2026）——也就是说，三年过去，监管层仍在追赶技术的迭代速度，问题并未被“解决”,只是被更清楚地描述了出来。

这意味着，这件事影响到的不是“懂 AI 的人”或者“容易上当的老年人”。北京青年报 2025 年的一篇报道标题就直接点破:“被 AI 诈骗的不止老年人”——受害者里有企业法人、公司职员、大学生，任何一个会接视频电话、会信任“熟人声音”的人，都在潜在的攻击范围内（新京报,2025）。

看得见、听得着，曾经就够了

在追问“技术怎么做到”之前，值得先纠正一个容易被带偏的细节，也回到当事人本身的处境里看一看：他们到底做错了什么，又或者，是不是根本没做错什么。郭先生案流传最广的说法是“AI 换脸只需要一张照片”,这在技术上并不准确。新华网 2024 年的一篇防骗报道明确提醒：实时视频换脸并非“一张照片即可完成”,而需要多角度、大量的影像和音频素材去训练模型（新华网,2024）。也就是说，诈骗者能够精准冒充郭先生的“好友”,前提是这位好友——不管本人是否知情——留下了足够多的公开影像资料，微信朋友圈的视频、直播录屏、短视频出镜，都可能成为原材料。

这一点在香港 CFO 案里体现得更彻底：诈骗团伙用的是公司官方发布的 YouTube 视频作为素材来源（21 经济网,2024）。换句话说，受害者暴露的破绽，恰恰源于他们本人从未意识到“公开露脸的视频”也是一种可以被武器化的数字资产。

郭先生本人的应对，其实并不算掉以轻心。他没有仅凭一通电话就转账，而是要求视频通话验证——这在过去是合理的、甚至是“谨慎”的做法。他被击穿的，不是警惕性，而是验证手段本身已经失效这件事，他和当时几乎所有人一样，并不知道。中国政法大学等机构的相关分析也指出，这类案件的共同特征是：受害人几乎都做了“看一眼、听一声”式的确认，而正是这道原本被认为足够可靠的门槛，被技术绕开了 (相关分析见知乎《数科法评》系列文章,2024)。

香港案的受害员工同样如此。他不是没有走流程——他“参加”了一场看起来“正式”的多人视频会议，画面里有多位“同事”和“上级”轮流发言、共同交代指令。但根据港府事后的书面说明，这场会议其实是提前录好的，现场没有一个是真人，他也没能和“对方”发生任何真正的互动 (香港特区政府新闻公报,2024)。传统意义上，多人同时在场、轮流发言，本该是防伪造的加强项；这起案子里，连“人越多越可信”这层直觉，都被一段完全无法互动的预录视频拿来对付了受害者——与其说他“被骗过了”,不如说他根本没有被给予戳穿的机会。

拆开那把万能钥匙

郭先生和香港员工的遭遇说明，受害人被击穿的不是警惕性。要理解这道防线究竟是怎么被绕过的，需要先拆开两个术语。

深度伪造 (deepfake),指利用深度学习模型，把一个人的脸、表情、口型替换或叠加到另一段影像上，让画面看起来像是本人在说话或做动作。AI 拟声 (voice cloning,语音克隆),指用一段目标人物的语音样本训练模型，合成出能模仿其音色、语调的新语音，输入任意文本或实时驱动，让“这个声音”说出诈骗者想说的话。

人民日报 2024 年的报道把这类诈骗的手法概括为两类:“AI 拟声”和“AI 换脸”——前者模拟熟人或权威人物的声音获取信任，后者伪造视频形象诱导受害人相信自己在和真人对话，二者常常组合使用，共同完成“取信—施压—转账”这条链路（人民日报,2024）。

具体到作案流程，大致是三步：

第一步,取材。诈骗者通过社交媒体、公开演讲视频、直播录屏、甚至一通事先打来的“测试电话”,收集目标人物足够多的影像和语音样本。

第二步,合成/驱动。用换脸模型把诈骗者自己的面部实时替换成目标的脸，或者用语音克隆模型让目标的“声音”实时说出诈骗者输入的话。这一步不要求诈骗者理解受害人和目标人物之间的关系，模型只负责“像”,不负责“骗”。

第三步,嵌入社会工程。伪造出的身份，被塞进一个原本就存在的信任场景——好友借账户过账、领导安排紧急转账、CFO 布置任务——利用的是人类对既有关系和权威指令的服从惯性，而不是任何“AI 的智能”。

这也是为什么把这类案件简单归结为“AI 变坏了”是一种误读:AI 模型在这里扮演的角色，类似一把做工精良的万能钥匙，真正决定“开哪扇门、偷什么”的，是拿着钥匙的人和他设计的骗局脚本。新华网的防骗提示也从技术角度做了校正：实时换脸对素材数量、网络条件、目标特征都有要求，并非任何一张照片都能立刻生成以假乱真的实时视频；同时提醒，视频通话中仍可能存在眨眼频率异常、眼神焦点漂移、表情与口型不同步、语言逻辑不连贯等破绽，只是这些破绽正在随着技术迭代变得越来越难被肉眼察觉（新华网,2024；人民日报,2024）。

The Scam Chain —— 五步链条：伪造身份如何转化为真实转账

被打穿的，是一套从未设计来抵御合成攻击的信任契约

拆开技术流程之后，还剩一个更根本的问题没有回答：为什么这把“万能钥匙”偏偏能打开“看脸、听声”这道门?这里要亮明一个判断，而不是复述一个事实:这类诈骗案的根因，不是“AI 技术失控”,而是社会长期依赖的一套身份验证方式——“听声音、看脸”——本身从未被设计成能抵御合成攻击，过去它够用，只是因为伪造它的成本足够高。

在深度伪造技术成熟之前，冒充一个人的声音和相貌需要专业设备、大量时间和相当高的技术门槛，普通诈骗者做不到，所以“视频通话确认身份”是一种性价比极高的验证手段，几乎不需要成本就能过滤掉大多数骗局。深度伪造把这个“造假成本”打了下来——不再需要专业设备和团队，借助现成的开源工具就能入门，只是不同工具、不同的以假乱真程度，对素材数量和素材质量的要求差别很大，不存在一个放之四海而皆准的“几十条素材就够”的标准。可以确定的是，造假的门槛和成本在明显下降，但还没有降到“人人可做、零成本”的地步。真正的变化是：当造假成本低于验证成本时，原来的验证方式就从“可靠”滑向了大概率会被绕过的“漏洞”,而绝大多数人和机构的安全习惯还停留在旧世界里。

这也是为什么把这场报道的重点放在“AI 有多可怕”上是一种失焦——真正应该被追问的问题是:为什么直到今天，大量企业和个人的转账确认流程，仍然只依赖一条单一的、可被合成的沟通渠道? 郭先生的验证方式是“看一眼视频”,香港 CFO 案受害员工的验证方式是“参加一场会议”,本质上都是把身份核实这件事，压在了一条本就脆弱的信息通道上，没有独立的第二通道去交叉确认。

标识来了，但骗子瞄准的从来不是标识

问题被摆明之后，监管层给出的答案是什么?案发三年后，应对已经从“提醒公众”升级到“制度性要求”。

2023 年施行的《互联网信息服务深度合成管理规定》，首次要求深度合成服务提供者建立健全用户注册、算法机制机理审核、信息发布审核、数据安全、个人信息保护、反电信网络诈骗等管理制度，并对可能导致公众混淆或误认的人脸、人声合成内容提出显著标识要求（国家网信办,2022）。

到 2025 年 3 月，国家网信办联合工业和信息化部、公安部、国家广播电视总局四部门，联合发布《人工智能生成合成内容标识办法》，并配套强制性国家标准 GB 45438—2025《网络安全技术人工智能生成合成内容标识方法》，两者已于 2025 年 9 月 1 日同步正式施行。办法要求所有 AI 生成的文字、图片、音频、视频、虚拟场景等内容，必须同时具备显式标识(用户能直接看到的角标、水印等) 和隐式标识(嵌入文件元数据、不易被察觉但可供技术溯源的标记); 同日，国内多家主流社交平台同步上线“AI 生成”角标功能，并明确任何人不得删除、篡改、伪造或隐匿这类标识（新华网,2025；国家网信办,2025）。

但标识制度并非万灵药，这一点需要说清楚，而不是一笔带过。第一，《标识办法》本身也留了口子——在明确用户责任、留存日志的前提下，允许部分场景不加显式标识，给规则的执行留出了博弈空间。第二，标识可以被跨平台重新编码、恶意去除，或者干脆伪造，执法层面的技术溯源能力能否跟上，仍是未知数。第三，也是最关键的一点：标识针对的是“内容”本身，而诈骗者的攻击对象是“验证行为”——一段被标注了“AI 生成”的伪造视频，如果受害人根本没有意识到需要检查这个标识，标识就形同虚设。制度在往前走，但它解决的是“能不能识别合成内容”的问题，而不是“人们会不会习惯性地用一条单一渠道验证身份”的问题。

最高人民法院刑三庭庭长陈鸿翔在 2026 年初的采访中承认，恶意滥用 AI 换脸、拟声技术的电诈手法“更隐蔽、更具迷惑性”,司法机关需要“加快跟踪研究深度伪造技术带来的新情况、新问题”（新浪财经,2026）。这句话翻译过来就是：三年过去，这场攻防战还没有分出胜负，制度在追，但技术也在跑。

别再把“看见”和“听见”当作终点

制度还在追赶，但普通人和企业不必等制度追上才行动。把这一整套事实链条压缩成一句可以带走的话:不要再把“我看到了他的脸”“我听到了他的声音”当作身份验证的终点。

具体到操作层面，几条建议来自新华网、人民日报的防骗提示，以及案件本身暴露出的教训 (新华网,2024; 人民日报,2024):

任何涉及大额转账、且带有紧迫感 (“现在就要”“别人在等”) 的请求，不管来自视频、语音还是文字，先挂断，再用另一个独立渠道——比如打对方本人早已存好的手机号、或者当面确认——重新核实一遍。
不要仅凭“视频里的这张脸”或者“电话里的这个声音”作为唯一验证依据，尤其是涉及金钱的指令。
企业内部的转账审批流程，应该设计成需要至少两个独立信息源同时确认，而不是单一沟通渠道说了算——哪怕这个渠道是“亲眼看到的视频会议”。
留意技术性破绽仍然有意义，但不要依赖它：眨眼频率异常、表情与口型轻微不同步、语言逻辑跳跃，这些线索会随着技术迭代越来越难被肉眼捕捉，能作为辅助信号，不能作为唯一依据。
对个人而言，减少不必要的公开影像和语音素材暴露 (尤其是清晰正脸、连续对话的长视频),客观上会提高被“取材”的难度，但这不是万全之策，只是提高门槛。

这起始于福州一通十分钟视频通话的案子，最终指向的不是“AI 有多聪明”,而是一个更朴素的提醒：当伪造一张脸、一段声音的门槛还在不断降低时，任何只靠“看见”和“听见”来完成的信任，都需要被重新设计。